Tag Archives: wordpress

I-SECURE ผู้ให้บริการ Managed Security Services ชั้นนำของเมืองไทย ออกมาโพสต์แจ้งเตือนถึงช่องโหว่บน WordPress ระบบ CMS ยอดนิยม เวอร์ชัน 4.7.4 ล่าสุด ซึ่งช่วยให้แฮ็คเกอร์สามารถขโมยลิงค์สำหรับรีเซ็ตรหัสผ่านของเหยื่อได้ ที่สำคัญคือช่องโหว่นี้ยังไม่มีการออกแพทช์เพื่อแก้ไขแต่อย่างใด

Sucuri บริษัทที่ปรึกษาด้าน Web Security ชื่อดัง ออกมาเปิดเผยถึงช่องโหว่ Stored Cross-site Scripting (XSS) บน REST API ของ WordPress ซึ่งเป็นสาเหตุของการโจมตีแบบ Web Defacement บนเว็บไซต์กว่า 1,000,000 เว็บเมื่อช่วงไม่กี่สัปดาห์ที่ผ่านมา แนะนำให้ผู้ใช้รีบอัปเดตแพทช์เวอร์ชัน 4.7.3 เพื่อแก้ปัญหาดังกล่าว

น่าจะเป็นที่น่าดีใจสำหรับหลายๆท่านที่วันนี้ WordPress ได้ออกมาเปิดตัว add-on WordPress.com for Google Docs ที่ทำให้สามารถเขียนบล็อคบน Google Docs แล้วกดเซฟไปยังเว็บไซต์ WordPress ที่ต้องการได้ทันที โดยไม่ต้อง copy paste แต่อย่างใด

Sucuri บริษัทที่ปรึกษาด้าน Web Security ชื่อดัง ออกมาเปิดเผยถึงช่องโหว่ SQL Injection บน NextGEN Gallery ซึ่งเป็น Plugin ของ WordPress ที่มียอดดาวน์โหลดมากกว่า 1,000,000 ครั้ง ซึ่งช่วยให้แฮ็คเกอร์สามารถขโมยข้อมูลสำคัญของเว็บไซต์ออกจากฐานข้อมูลได้

สัปดาห์ที่ผ่านมา WordPress แอบออกแพทช์เวอร์ชัน 4.7.2 อุดช่องโหว่ Zero-day ได้แก่ Content Injection และ Privilege Escalation แบบเงียบๆ โดยให้เหตุผลว่าเป็นช่องโหว่อันตรายที่ไม่ควรเผยให้สาธารณะรับทราบ เพราะแฮ็คเกอร์อาจนำไปใช้โจมตีเว็บไซต์ WordPress กว่าล้านเว็บทั่วโลกได้ และวันนี้ ความกลัวนั้นเป็นจริงแล้ว

หลังจากที่ WordPress 4.7 ได้มีการโหลดใช้งานไปแล้วเกินกว่า 10 ล้านครั้ง ทางทีมงาน WordPress ก็ได้ทำการประกาศเปิดตัว WordPress 4.7.1 เพื่ออุดช่องโหว่สำคัญ 8 ประการ รวมถึงแก้ปัญหาเรื่อง PHPMailer ด้วยเช่นกัน

สำหรับผู้เริ่มต้นที่ต้องการศึกษาการใช้ Kali Linux ในการทดสอบเจาะระบบและเรียนรู้การใช้เครื่องมือต่างๆ สามารถลงคอร์ส Kali Linux Hacking Lab for Beginners บน Udemy ได้ฟรี ช่วงนี้เท่านั้น

พบช่องโหว่ร้ายแรงบน PHPMailer ระบบ Open Source PHP Library สำหรับใช้ส่ง Email เปิดโอกาสให้ผู้โจมตีสามารถทำ Remote Code Execution ได้

สำหรับเหล่าผู้ดูแลเว็บไซต์และนักพัฒนาที่ใช้ WordPress เป็นหลัก ทาง WordPress ได้ประกาศออกรุ่น 4.7 เป็นรุ่น Major Release สุดท้ายสำหรับปี 2016 ออกมาเรียบร้อยแล้วอย่างเป็นทางการภายใต้ชื่อรุ่น “Vaughan” โดยมีจุดเด่นใหม่ๆ ที่น่าสนใจดังนี้

หลังจากที่ Matt Mullenweg ได้ออกมากล่าวหาว่า Wix นั้นขโมย Source Code ของ WordPress ไปใช้โดยไม่ให้เครดิต ตอนนี้ Wix ได้ออกมาตอบโต้แล้ว

Matt Mullenweg ผู้ก่อตั้ง WordPress ได้ออกมาเปิดเผยว่า Wix บริการสร้างเว็บไซต์ครบวงจรอย่างง่ายดาย ได้นำ Source Code ในส่วนของระบบ Editor จาก WordPress ไปใช้โดยไม่ทำตามข้อสัญญา General Public License (GPL) ที่ระบุว่าจะต้อง Open Source ให้แก่ Code เหล่านั้นด้วย

WordPress แพลทฟอร์มมาตรฐานสำหรับสร้าง Blog ยอดนิยม ออกอัปเดตใหม่ล่าสุด เวอร์ชัน 4.6.1 อุดช่องโหว่ Cross-site Scriting และ Path Traversal พร้อมทั้งช่องโหว่อื่นๆ รวม 15 รายการ แนะนำให้ผู้ใช้รีบอัปเดตโดยทันที

**อัพเดต: Acunetix แถลงว่าเหตุการณ์นี้ไม่เป็นความจริงแต่อย่างใด แต่มีผู้แอบอ้างว่าโจมตีได้สำเร็จเท่านั้น https://www.techtalkthai.com/acunetix-official-statement-declaring-it-was-not-hacked/ เว็บไซต์ของ Acunetix ผู้ให้บริการโซลูชัน Vulnerability Scanner สำหรับเว็บแอพพลิเคชันชื่อดัง ถูกเปลี่ยนหน้าโดยแฮ็คเกอร์ชาวโครเอเชีย ส่งผลให้เว็บไซต์ต้องปิดปรับปรุงเป็นวัน แถมตอกหน้า ที่ทำไปเพื่อ “ความมันส์” เท่านั้น

ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยจาก Sucuri บริษัทชั้นนำทางด้าน Web Security ออกมาเปิดเผยช่องโหว่ Cross-site Scripting (XSS) บน Jetpack Plug-in ชื่อดังบน WordPress ซึ่งช่วยให้แฮ็คเกอร์สามารถส่งโค้ดแปลกปลอมผ่านเข้ามาทางช่อง Comment ได้

Ryan Huber วิศวกรความมั่นคงปลอดภัยจาก Slack ค้นพบช่องโหว่ Zero-day ความรุนแรงสูงบน ImageMagick เครื่องมือยอดนิยมสำหรับปรับแต่งรูปภาพของผู้ใช้บนเว็บไซต์ ที่ช่วยให้แฮ็คเกอร์สามารถรันโค้ดโจมตีบน Web Server จากระยะไกลผ่านทางรูปภาพที่มี Malicious Code แฝงอยู่ได้

WordPress แพลทฟอร์มมาตรฐานสำหรับสร้าง Blog ยอดนิยม เตรียมพร้อมให้บริการเว็บไซต์แบบ HTTPS แก่ผู้ใช้ฟรี ไม่ต้องเสียค่าใช้จ่ายในการซื้อ SSL Certificate อีกต่อไป โดย Certificate ฟรีนี้ได้รับการสนับสนุนจาก Let’s Encrypt CA ชื่อดังที่ให้บริการ SSL Certificate ฟรี นั่นเอง

หลายท่านคงทราบข่าวเรื่อง Panama Papers กันแล้ว ที่ข้อมูลเอกสารลับกว่า 11.5 ล้านฉบับ รั่วไหลออกจากบริษัท Mossack Fonseca ไปเมื่อไม่กี่วันที่ผ่านมา ส่วนหนึ่งของเอกสารเหล่านี้เป็นเอกสารการทำธุรกรรมลับหรือเอกสารทุจริตของผู้มีชื่อเสียงและนักธุรกิจชั้นนำจากทั่วโลก ในไทยเองก็มีหลุดมาถึง 21 คน ซึ่งจนถึงตอนนี้ยังไม่ทราบว่าใครเป็นผู้อยู่เบื้องหลังเหตุการณ์ดังกล่าว

GoDaddy Inc. ผู้ให้บริการจดทะเบียนโดเมนชื่อดัง เปิดตัวบริการ Cloud Servers และ Cloud Applications ให้บริการ Cloud Computing คล้าย Amazon Web Services โดยเน้นกลุ่มลูกค้า SMB (Small and Midsize Business)

เว็บไซต์ NakedSecurity ของ Sophos ได้ออกมาเล่าถึงเรื่องราวของ Malware ตระกูล Troj/PHPRansm-B ที่ทำการโจมตีเว็บไซต์ต่างๆ ที่ใช้ PHP โดยเฉพาะ CMS ชื่อดังอย่าง WordPress, Drupal และ Joomla โดยการโจมตีผ่านการฝังไฟล์ index.php ที่ทำหน้าที่โจมตีและเรียกค่าไถ่ดังต่อไปนี้ลงไปยังเว็บที่ใช้ PHP

Sucuri ได้ออกมาเปิดเผยถึงการโจมตีที่ถูกพบเป็นจำนวนมากในช่วงนี้บนเว็บไซต์ที่ใช้ WordPress ด้วยการแทรกโค้ด JavaScript แปลกปลอมลงไปยังไฟล์ .js ทั้งหมดเท่าที่จะทำได้ และอัพโหลด Backdoor เพิ่มเอาไว้ในเว็บ เพื่อให้สามารถโจมตีซ้ำต่อเนื่องและอัพเดตโฆษณาได้เรื่อยๆ หลังจากผู้ดูแลเว็บทำการเก็บกวาด .js ให้สะอาดแล้วด้วย